[发明专利]一种接入子网源地址验证方法及系统

说明书

本发明提供一种接入子网源地址验证方法及系统，所述方法包括：设置于接入交换机与汇聚交换机之间的SAVI交换机开启SAVI功能形成SAVI安全边界；配置SAVI安全边界内每个接入交换机的端口，包括为第一端口配置当前接入子网内唯一的VLAN号；配置主机设备的IP地址，将主机设备的IP地址、主机设备连接的第一端口的VLAN号与所述SAVI交换机的第二端口相绑定，形成SAVI绑定表；主机设备向外发送报文，报文在经过接入交换机后携带该接入交换机的第一端口的VLAN号到达SAVI交换机；SAVI交换机根据所述SAVI绑定表对所述报文进行检查。在无法实现接入交换机全部部署SAVI技术的情况下，防止了SAVI安全边界内的各个主机设备之间互相伪造源地址。

技术领域

本发明属于源地址验证技术领域，具体是一种接入子网源地址验证方法及系统。

背景技术

现行的网络体系结构在设计之初没有过多考虑地址的安全问题，TCP/IP协议默认网络传输中的报文地址信息是真实可靠的，对数据包的IP地址，特别是源IP地址的合法性没有进行检验和筛查。然而，随着互联网的广泛应用，通过伪造IP源地址进行的网络攻击越来越多，对网络服务和管理、审计等功能产生了严重的威胁。这类攻击发起容易却难以追溯，给网络安全带来了严峻的挑战。

针对现有网络体系结构中的源IP地址伪造的问题，2008年清华大学提出了源地址验证体系结构(Source Address Validation Architecture,SAVA)，为解决源地址伪造问题提供了一套体系化的解决方法。SAVA将源地址验证划分为三个层次：接入子网、自治域内和自治域间，各层次呈现互不重叠的松耦合防御形式。SAVA的提出为从根源上杜绝网络空间安全问题的发生提供了解决方案。清华大学随后在IETF推动成立了SAVI(SourceAddress Validation Improvement，SAVI)工作组，推动了一系列SAVI标准成为RFC，并获得了众多网络设备厂商的支持，在一系列产品上得到了实现。

以接入子网层次为例，目前，SAVI工作组已经针对主流IP地址分配方法和网络环境制定了一系列标准并在硬件设备实现，包括针对动态主机配置协议(Dynamic HostConfiguration Protocol，DHCP)的源地址验证方案SAVI-DHCP，针对静态配置和IPv6无状态地址自动配置协议(Stateless Address Auto-Configuration，SLAAC)的SAVI-FCFS，针对安全邻居发现协议(Secure Neighbor Discovery Protocol,SEND)的SAVI-SEND，以及多种地址分配方式共存的方案SAVI-MIX等。目前，接入子网的源地址验证技术虽然已经基本完成标准化，但其在实际部署中仍可能面临厂商设备不支持或版本过旧、替换或升级成本高等问题，对源地址验证体系的部署造成障碍。

发明内容

针对接入子网存在的SAVI交换机不能完全部署的问题，本发明提供一种接入子网源地址验证方法及系统。

第一方面，本发明提供一种接入子网源地址验证方法，包括：

设置于接入交换机与汇聚交换机之间的SAVI交换机开启SAVI功能形成SAVI安全边界；

配置SAVI安全边界内每个接入交换机的端口，包括为第一端口配置当前接入子网内唯一的VLAN号；

配置主机设备的IP地址，将主机设备的IP地址、主机设备连接的第一端口的VLAN号与所述SAVI交换机的第二端口相绑定，形成SAVI绑定表；

主机设备向外发送报文，所述报文在经过接入交换机后携带该接入交换机的第一端口的VLAN号到达SAVI交换机；

SAVI交换机根据所述SAVI绑定表对所述报文进行检查；

若所述报文中的VLAN号与所述SAVI绑定表中的IP地址所绑定的VLAN号不匹配，则该报文为源地址伪造的报文；